Schützt HTTPS in der Datenbank gespeicherte Daten (Daten im Ruhezustand)?

„Wir sind verschlüsselt — wir nutzen HTTPS“ ist eine der häufigsten Halbwahrheiten der Sicherheit. HTTPS ist unverzichtbar, löst aber genau ein Problem, und gespeicherte Daten gehören nicht dazu.

Was HTTPS/TLS wirklich schützt

TLS baut einen verschlüsselten Kanal zwischen zwei Endpunkten auf — typischerweise einem Browser und einem Webserver. Es bietet Vertraulichkeit und Integrität für Daten bei der Übertragung sowie Serverauthentifizierung per Zertifikat. Während die Bytes durchs Netz reisen, sieht ein Angreifer auf der Leitung (öffentliches WLAN, bösartiger Proxy, ISP) nur Chiffretext. Das ist seine gesamte Aufgabe: das Gespräch zwischen Client und Server zu schützen.

Wo der Schutz endet

TLS wird am Server terminiert (oder an einem vorgelagerten Load Balancer / Reverse Proxy). An dieser Grenze entschlüsselt der Sitzungsschlüssel die Anfrage zurück in Klartext, und die Anwendung verarbeitet sie im Klaren: JSON parsen, Geschäftslogik ausführen, SQL bauen. Wenn die App in die Datenbank schreibt, hängt das, was auf dem Datenträger landet, ganz davon ab, wie dieser Speicher konfiguriert ist — standardmäßig Klartext. Der TLS-Sitzungsschlüssel erreicht nie den Datenträger; er war flüchtig und ist nach Schließen der Verbindung weg.

Daten im Ruhezustand sind eine eigene Maßnahme

Gespeicherte Daten zu schützen erfordert eigene Mechanismen:

• Vollverschlüsselung von Datenträger oder Volume (LUKS, BitLocker) gegen gestohlene Laufwerke.
• Transparent Data Encryption (TDE) oder Spalten-/Feldverschlüsselung in der Datenbank.
• Ein Key-Management-Service (KMS) oder HSM, damit Schlüssel nicht neben den Daten liegen.
• Zugriffskontrolle und geringste Rechte, damit nur die richtigen Akteure Zeilen lesen.

Sie wehren andere Bedrohungen ab als TLS: ein gestohlenes Backup, ein kompromittiertes DBA-Konto, ein Angreifer, der bereits eine Shell auf der Maschine hat.

Warum der Irrtum gefährlich ist

Die verführerischen falschen Antworten stellen sich vor, der TLS-Schlüssel „folge“ den Daten irgendwie auf den Datenträger oder das Zertifikat schütze sie weiter im Ruhezustand. Tut es nicht — TLS ist Punkt-zu-Punkt und flüchtig. Teams, die Transportsicherheit mit Speichersicherheit verwechseln, überspringen die Ruhezustand-Verschlüsselung ganz und leaken dann Klartext-Datenbanken. Das richtige Denkmodell: HTTPS schützt die Reise; Ruhezustand-Verschlüsselung schützt das Ziel. Du brauchst beides.